一级特黄性生活大片免费观看-一级特黄性色生活片-一级特黄性色生活片一区二区-一级特黄视频-国产最新视频-国产最新精品

捕獲時間

2009-1-6

病毒摘要

該樣本是使用“ VC ”編寫的蠕蟲程序，由微點主動防御軟件自動捕獲，采用“UPX”加殼方式試圖躲避特征碼掃描,加殼后長度為 “20,680字節”，圖標為“”，使用“exe”擴展名，通過“網頁木馬”、“文件捆綁”、“移動存儲介質”等途徑植入用戶計算機，運行后下載其他木馬到本地運行。

感染對象

Windows 2000/Windows XP/Windows 2003

傳播途徑

網頁木馬、文件捆綁、移動存儲介質

防范措施

已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“病毒”，請直接選擇刪除處理（如圖1）；

       圖1 微點主動防御軟件自動捕獲未知病毒（未升級）

如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Worm.Win32.AutoRun.jum”，請直接選擇刪除（如圖2）。

       圖2 微點主動防御軟件升級后截獲已知病毒

對于未使用微點主動防御軟件的用戶，微點反病毒專家建議：
1、不要在不明站點下載非官方版本的軟件進行安裝，避免病毒通過捆綁的方式進入您的系統。
2、建議關閉U盤自動播放，具體操作步驟：開始->運行->gpedit.msc->計算機配置->管理模板->系統->在右側找到"關閉自動播放"->雙擊->選擇"已啟用"。
3、盡快將您的殺毒軟件特征庫升級到最新版本進行查殺，并開啟防火墻攔截網絡異常訪問，如依然有異常情況請注意及時與專業的安全軟件廠商聯系獲取技術支持。
4、開啟windows自動更新，及時打好漏洞補丁。

病毒分析

該樣本程序被執行后，創建名為“DIANTUZI”的互斥體，防止自身的再次調用, 修改自身文件屬性為“隱藏”與“系統”；刪除目錄%SystemRoot%\system32\下“mfc71.dll”文件, %ProgramFiles%\Kingsoft\Kingsoft Internet Security 2008\下“kasbrowsershield.dll”文件；修改系統時間年份為2004；調用系統“cacls.exe”命令提升下列文件與文件夾權限，賦予“everyone”用戶完全控制權限：

加載操作系統SFC功能動態連接庫文件“sfc_os.dll”，查找其五號函數并調用，去除對“beep.sys”系統文件的保護, 將“beep.sys”文件讀到內存緩沖區作備份，修改系統“beep.sys”文件，成功后啟動“Beep”服務實現對“Beep”服務的替換，驅動加載后恢復系統SSDT表，解除計算機部分殺軟的主動防御，達到自身保護的目的，成功后關閉此服務，并將內存緩沖區備份的原系統文件“beep.sys”進行回寫，恢復“beep.sys”文件，遍歷查找下列安全軟件進程，找到后嘗試關閉該安全進程：

遍歷查找下列服務，一旦找到嘗試停止服務：

遍歷查找包含下列文字的窗口，一旦找到嘗試發送“WM_DESTROY” 與
“WM_CLOSE”消息關閉該窗口：

移動%SystemRoot%\system32\下“spoolsv.exe”文件，到%SystemDrive%下，名稱改為“tm.sa”,移動成功后，拷貝自身為“spoolsv.exe”文件到%SystemRoot%\system32\與%SystemRoot%\system32\dllcache\目錄下，調用下列命令開啟“server”服務：

嘗試打開“MEIGANHUOYA”服務，一旦打開成功則關閉此服務，嘗試使用下列命令刪除“spooler”服務：

隱藏方式調用運行“IEXPLORE.EXE”進程，并向其進程內存空間中注入惡意可執行代碼，達到運行中訪問下列指定網絡的效果，自動下載相應木馬到%SystemDrive%\Documents and Settings\目錄下，名稱為“1ts.pif”,“2ts.pif”,“3t.pif”,“4.pif”,“5.pif” ,“6ts.pif”,“7.pif”,“8.pif”,“9ts.pif”,“10ts.pif”；目錄%SystemDrive%\ Documents and Settings\下“ccdd.pif”，下載成功后自動運行：

在注冊表HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下添加下列項,達到劫持大部分安全軟件的目的：

刪除注冊表相關鍵值破壞安全模式，阻止用戶進入安全模式：

添加注冊表啟動項，達到開機自啟動目的：

刪除系統啟動項HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下指定安全軟件的啟動項鍵值，實現指定安全軟件不能開機啟動：

修改注冊表破壞顯示所有文件和文件夾，達到隱藏自身目的：

不斷遍歷磁盤，拷貝自身名為“ZGP.PIF”到磁盤分區根目錄,并創建“autorun.inf”文件，均修改屬性為“隱藏”與“系統”，“autorun.inf”內容為：